L'une des questions élémentaires que vous pouvez vous poser quand vous examinez un outil de contournement est : « Qui d'autre l'utilise ? ». Si l'éventail d'utilisateurs est large, cela signifie que si quelqu'un découvre que vous utilisez ce logiciel, ils ne peuvent en déduire la raison pour laquelle vous l'utilisez. Un outil qui préserve la confidentialité de la vie privée comme Tor est utilisé par des types d'utilisateurs très variés à travers le monde (cela peut aller de simples particuliers et défenseurs des droits de l'homme à des sociétés, des organes chargés de l'application de la loi et des militaires ; donc le fait que vous ayez Tor ne donne pas beaucoup d'autres indications sur votre identité et sur les sites Web que vous visiteriez. Par ailleurs, imaginez un groupe de blogueurs iraniens utilisant un outil de contournement conçu spécialement pour eux. Si quelqu'un découvre que l'un d'eux l'utilise, ce ne sera pas compliqué pour cette personne d'en deviner la raison.

Au-delà des caractéristiques techniques qui rendent un outil donné utile à quelques personnes dans un pays ou à beaucoup de gens à travers le monde, le marketing joue un grand rôle, dans lequel les utilisateurs interviennent. Beaucoup d'outils se font connaître par le bouche-à-oreille et ainsi, si les quelques premiers utilisateurs se trouvent au Vietnam et qu'ils le trouvent utile, les utilisateurs qui suivront seront en général plutôt des Vietnamiens aussi. Si un outil est traduit dans certaines langues et pas dans d'autres, ce facteur peut aussi influer sur le type d'utilisateur qu'il attirera ou pas.

La question suivante à examiner est de savoir si l'opérateur de l'outil limite artificiellement la liste des pays où il peut être utilisé. Durant plusieurs années, la société commerciale Anonymizer.com offrait ses services gratuitement aux Iraniens. Ainsi, les connexions venant des serveurs d'Anonymizer étaient soit des clients payants (essentiellement aux États-Unis) ou des Iraniens qui tentaient de contourner les filtres de leur pays.

Citons quelques exemples plus récents.

Your-Freedom restreint l'utilisation gratuite à quelques pays comme la Birmanie, alors que parfois, des systèmes comme Freegate et UltraSurf bloquent carrément les connexions venant de tout pays en dehors des quelques-uns qu'ils ont choisi de desservir (Chine et, dans le cas d'Ultrasurf récemment, l'Iran). D'un côté, cette stratégie se comprend, car cela limite les coûts en termes de bande passante. Mais d'un autre côté, si vous vivez en Arabie saoudite et que vous avez besoin d'un outil de contournement, certains outils par ailleurs utiles ne vous conviendront pas comme option.

Si vous comptez investir du temps pour comprendre comment utiliser un outil donné, vous devez vous assurer que celui-ci existera pendant un certain temps. Il existe plusieurs manières pour différents outils de perdurer sur le long terme. Les trois principales sont l'utilisation de bénévoles, la réalisation de bénéfices et l'obtention de financements par des sponsors.

Des réseaux comme Tor font appel à des bénévoles pour fournir des relais qui constituent le réseau.

Des milliers de gens dans le monde possèdent des ordinateurs et de bonnes connexions de réseau et désirent contribuer à l'avènement d'un monde meilleur. En les réunissant en un seul grand réseau, Tor s'assure l'indépendance de ce réseau par rapport à l'organisation qui réalise le logiciel ; de cette manière, le réseau poursuivra son œuvre même si le projet Tor en tant qu'entité cesse d'exister. Psiphon adopte la seconde démarche : faire payer le service. Leur raisonnement est que s'ils réussissent à créer une entreprise rentable, celle-ci sera en mesure de financer le réseau de manière permanente. La troisième démarche consiste à compter sur des sponsors pour payer les coûts de bande passante. Le projet Java Anon Proxy ou « JAP Project » s'est appuyé sur des subventions gouvernementales pour financer sa bande passante ; maintenant que la subvention est épuisée, ils étudient une approche fondée sur le profit. Ultrareach et Freegate font appel au système de sponsorat avec une certaine efficacité, mais sont constamment en quête de nouveaux sponsors pour maintenir leur réseau.

Après la question sur la survie à long terme du réseau, la question suivante concerne la viabilité du logiciel lui-même. Ces mêmes trois approches sont valables ici également, mais les exemples sont différents. Le réseau de Tor fonctionne grâce à des bénévoles, mais Tor compte sur des sponsors (gouvernements et ONG) pour financer de nouvelles fonctionnalités et la maintenance logicielle. Ultrareach et Freegate, par contre, se trouvent dans une position plus viable en matière de mises à jour de logiciels : ils disposent d'une équipe composée de personnes à travers le monde, essentiellement des bénévoles, qui se consacrent à veiller à ce que les outils aient toujours une longueur d'avance par rapport aux censeurs.

Chacune des trois approches peut fonctionner, mais comprendre la démarche utilisée par un outil peut aider à anticiper sur les problèmes qu'il peut rencontrer à l'avenir.

La première étape vers la transparence et la réutilisation du logiciel et de la conception de l'outil est de distribuer le logiciel (pas simplement le logiciel client, mais aussi le logiciel serveur) sous licence en code source libre. Ce type de licence signifie que vous pouvez examiner le logiciel pour voir comment il fonctionne effectivement, et vous avez le droit de modifier le programme. Même si tous les utilisateurs ne tirent pas parti des avantages de cette opportunité (beaucoup de gens veulent simplement utiliser l'outil tel quel), le fait de proposer cette option augmente la probabilité que l'outil demeure sûr et utile. Sinon, il ne vous reste plus qu'à espérer qu'un petit nombre de développeurs aient pensé à tous les problèmes possibles et les aient tous réglés.

Avoir une licence en code source libre ne suffit pas. Les outils de contournement fiables doivent fournir une documentation claire et complète pour d'autres experts en sécurité, pas seulement sur la manière dont ils sont conçus, mais aussi sur les fonctionnalités et buts recherchés par ses développeurs. L'ont-ils conçu pour protéger la vie privée ? Quelle sorte de cyberattaquant et contre lesquels ? Comment utilise-t-il le chiffrement ? L'ont-ils conçu pour résister aux attaques des censeurs ? À quelles attaques pensent-ils résister et pourquoi leur outil résistera-t-il à ces attaques ? Si l'on ne voit pas le code source et qu'on ne sait pas à quoi les développeurs le destinent, il est plus difficile de décider si l'outil renferme des problèmes de sécurité, ou d'évaluer s'il atteindra ses objectifs.

Dans le domaine de la cryptographie, le principe de Kerckhoffs explique que l'on doit concevoir son système de manière à ce que le volume de ce que l'on veut garder secret soit aussi petit et bien compris que possible. C'est pourquoi les algorithmes de cryptographie ont des clés (la partie secrète) et le reste peut être expliqué publiquement à tout le monde. Historiquement, toute conception cryptographique contenant beaucoup d'éléments secrets s'est avérée moins sûre que le pensaient ses concepteurs. De même, dans le cas de conceptions secrètes pour des outils de contournement, les seuls groupes qui examinent l'outil sont les développeurs qui l'ont créé et ses cyberattaquants ; les autres développeurs et utilisateurs qui pourraient contribuer à le perfectionner et le rendre plus viable n'ont pas leur mot à dire.

Les idées issues d'un projet pourraient être réutilisées au-delà de la durée de vie de ce projet. Un trop grand nombre d'outils de contournement sont le résultat d'une conception dont le secret reste gardé, dans l'espoir que les censeurs de gouvernements aient plus de mal à comprendre comment le système fonctionne, mais ceci a pour résultat que peu de projets peuvent tirer les enseignements d'autres projets et que le domaine du développement du contournement dans son ensemble évolue trop lentement.

Une autre caractéristique à rechercher dans un outil de contournement est de savoir si son réseau est centralisé ou décentralisé. Un outil centralisé fait passer toutes les requêtes de ses utilisateurs par un ou quelques serveurs contrôlés par l'opérateur de l'outil. Une conception décentralisée comme celle de Tor ou JAP envoie le trafic à travers des emplacements différents multiples, de sorte qu'il n'y a pas une seule localisation ou entité qui puisse observer à quels sites Web chaque utilisateur a accès.

Une autre manière de regarder cette division est basée sur la centralisation ou la décentralisation de la confiance. Si vous devez placer toute votre confiance dans une seule entité, tout ce que vous pouvez espérer alors est que figure un « Énoncé de confidentialité » pour protéger la vie privée, autrement dit, qu'elle possède toutes vos données et qu'elle promet de ne pas les regarder, les perdre ou les vendre. L'autre option est ce que le Commissaire à l'information et à la protection de la vie privée de l'Ontario appelle « protection de la vie privée intégrée dans la conception », autrement dit que la conception du système elle-même est telle que la confidentialité de la vie privée des utilisateurs est garantie. Le caractère ouvert de la conception permet à tout le monde d'évaluer le degré de confidentialité de la vie privée offert.

Cette préoccupation n'est pas simplement théorique. Au début de l'année 2009, Hal Roberts, du Berkman Center, est tombé sur un article d'une rubrique FAQ relatif à un outil de contournement qui proposait de vendre les journaux de clics de ses utilisateurs. Plus tard, j'ai parlé avec un fournisseur différent d'outils de contournement qui m'a expliqué qu'ils disposaient de tous les journaux de chaque requête faite par le biais de leur système « parce qu'on ne sait jamais quand on pourrait en avoir besoin ».

Je n'ai pas donné les noms des outils ici parce que la question n'est pas que le fait que certains fournisseurs d'outils ont peut-être partagé les données d'utilisateurs ; la question est que tout outil reposant sur un modèle de confiance est susceptible de partager des données d'utilisateurs, et ses utilisateurs n'ont aucun moyen de s'en rendre compte si cela se produit. Pis encore, même si le fournisseur d'outils est de bonne foi, le fait que toutes les données passent par un seul lieu constitue une cible attirante pour d'autres cyberattaquants qui viendront espionner.

Nombre de ces outils considèrent le contournement et la confidentialité de la vie privée de l'utilisateur comme des objectifs totalement distincts. Cette séparation n'est pas forcément mauvaise, tant que vous savez à quoi vous vous engagez ; par exemple, beaucoup de personnes vivant dans des pays qui pratiquent la censure nous disent que la simple lecture d'un site d'informations n'entraîne pas l'emprisonnement. Mais, comme nous nous en sommes rendu compte ces dernières années, dans de nombreux contextes, les grandes bases de données contenant des informations personnelles ont trop souvent tendance à être rendues publiques.

La confidentialité de la vie privée n'est pas seulement liée à la question de savoir si l'opérateur de l'outil peut consigner vos requêtes. Elle dépend aussi de la capacité des sites Web que vous visitez à vous reconnaître ou vous suivre. Souvenez-vous du cas de Yahoo qui avait communiqué des informations au sujet d'un des utilisateurs chinois de son service de courrier électronique ? Et si un agrégateur de blogs veut savoir qui publie des billets sur un blog, ou qui a ajouté le dernier commentaire, quels autres sites Web un blogueur particulier lit ? L'utilisation d'un outil plus sûr pour accéder à un site web signifie que ce site Web n'en aura pas autant à communiquer.

Certains outils de contournement sont plus sûrs que d'autres. À un extrême se trouvent les proxys ouverts. Ils transmettent souvent l'adresse du client avec la requête de recherche Web de ce dernier ; il est ainsi facile pour le site Web de savoir exactement d'où provient la requête. À l'autre extrême se trouvent les outils comme Tor qui comprennent des extensions client du navigateur permettant de dissimuler la version de votre navigateur, votre choix de langue, la taille de la fenêtre du navigateur, le fuseau horaire, etc. ; d'isoler les cookies, l'historique et le cache ; et d'empêcher des plugins comme Flash de divulguer des informations à votre sujet.

Ce degré de protection au niveau de l'application a cependant un prix : certains sites Web ne fonctionnent pas correctement. Comme de plus en plus de sites Web adoptent la dernière mode qu'est le « web 2.0 », ils ont besoin d'avoir des fonctionnalités de plus en plus invasives en matière de comportement du navigateur. La meilleure réponse est de désactiver les comportements dangereux, mais si quelqu'un en Turquie essaie d'accéder à YouTube et que Tor désactive son plugin Flash pour préserver sa sécurité, sa vidéo ne marchera pas.

Aucun outil n'a jusque-là trouvé de solution à ces avantages et inconvénients. Le logiciel Psiphon évalue manuellement chaque site Web et programme son proxy central pour réécrire chaque page. Il effectue généralement cette réécriture non pour des raisons de confidentialité de la vie privée, mais pour s'assurer que tous les liens sur la page ramènent vers leur service proxy, mais le résultat est que s'il n'a pas encore vérifié manuellement votre site de destination, cela ne marchera pas dans votre cas. Par exemple, il semble avoir toujours du mal à suivre le rythme des changements fréquents de la page d'accueil de Facebook. Actuellement, Tor désactive du contenu qui est probablement sûr en pratique, parce que nous n'avons pas mis au point une bonne interface pour laisser l'utilisateur décider en toute connaissance de cause. Cependant, d'autres outils laissent simplement passer tout contenu actif, signifiant par là que démasquer leurs utilisateurs est un aspect négligeable.

Je dois ici faire une distinction entre chiffrement et confidentialité de la vie privée. La plupart des outils de contournement (tous à l'exception des outils vraiment simples comme les proxys ouverts) cryptent le trafic entre l'utilisateur et le fournisseur de contournement. Ce chiffrement leur est indispensable pour éviter le filtrage des mots-clés par des censeurs comme le pare-feu mis en place par la Chine. Mais aucun des outils ne peut crypter le trafic entre le fournisseur et les sites Web de destination si un de ces sites n'accepte pas le chiffrement ; le trafic ne peut en aucun cas se retrouver crypté par un coup de baguette magique.

La solution idéale serait que chacun utilise le protocole https (connu également sous le nom de SSL) pour accéder à des sites Web, et que tous les sites Web acceptent les connexions en https. S'il est utilisé correctement, le protocole https offre un chiffrement entre votre navigateur et le site Web. Avec ce chiffrement « de bout en bout », personne sur le réseau (que ce soit votre FAI, les fournisseurs de backbones Internet à haut débit ou votre fournisseur de contournement) ne peut écouter le contenu de vos communications. Mais pour de multiples et diverses raisons, le chiffrement demeure omniprésent. Si site Web n'accepte pas le chiffrement, le mieux est de 1) ne pas envoyer d'informations sensibles ou permettant de vous identifier, comme indiquer le vrai nom dans le billet publié sur un blog ou un mot de passe que vous ne voulez pas divulguer à autrui, puis 2) utiliser un outil de contournement qui ne possède pas de goulots d'étranglement au plan de la confiance permettant à autrui d'établir un lien entre vous et vos destinations, malgré les précautions prises dans l'étape 1.

Malheureusement, les choses se gâtent quand vous ne pouvez pas vous empêcher d'envoyer des informations sensibles. Certaines personnes ont exprimé leur inquiétude à l'égard du concept réseau fonctionnant, avec des bénévoles, créé par Tor ; leur raisonnement est qu'au moins, avec les conceptions centralisées, on sait qui contrôle l'infrastructure. Mais en pratique, il est difficile pour des inconnus de lire votre trafic dans un sens ou dans l'autre. L'alternative se situe entre des inconnus bénévoles qui ignorent votre identité (autrement dit, ils ne peuvent vous cibler) ou des inconnus dévoués qui ont la possibilité de voir tout le profil de votre trafic (et de faire le lien entre vous et lui). Tous ceux qui promettent « 100 % de sécurité » cherchent à vendre leur produit.

La caractéristique que vous rechercherez ensuite dans un outil de contournement sera probablement la rapidité. Certains outils ont tendance à être systématiquement rapides, d'autres systématiquement lents et certains ont des performances extrêmement imprévisibles. La rapidité dépend de nombreux facteurs, notamment du nombre d'utilisateurs que possède le système, de ce que ces utilisateurs font, de la capacité disponible et de la répartition de la charge dans le réseau.

Les modèles de confiance centralisés présentent deux avantages ici. D'abord, ils peuvent voir tous leurs utilisateurs et ce que ces derniers font ; ils sont donc bien placés pour les répartir uniformément et décourager les comportements qui posent des problèmes au système. Ensuite, ils ont les moyens de payer pour avoir plus de capacité, et plus ils payent, plus l'outil est rapide. Par contre, les modèles de confiance distribuée ont plus de difficulté à suivre leurs utilisateurs, et s'ils s'appuient sur des bénévoles pour fournir cette capacité, avoir plus de bénévoles est un processus plus complexe que de simplement acheter de la bande passante.

Le revers de la médaille en matière de performance est la flexibilité. De nombreux systèmes procurent une vitesse satisfaisante en limitant ce que les utilisateurs peuvent faire. Alors que Psiphon vous empêche d'accéder à des sites qu'il n'a pas vérifiés manuellement, Ultrareach et Freegate exercent une réelle censure et de manière active sur le choix de sites Web de destination auxquels vous pouvez accéder, et ils peuvent ainsi limiter les coûts liés à la bande passante. Tor, par contre, vous permet d'accéder à n'importe quel protocole et n'importe quelle destination ; par exemple, vous pouvez aussi l'utiliser pour de la messagerie instantanée ; mais l'inconvénient est que le réseau est souvent surchargé par les utilisateurs qui effectuent des transferts de gros fichiers.

Quand un outil de contournement commence à être bien connu, son site Web ne tarde pas à être bloqué. S'il est impossible d'obtenir une copie de l'outil lui-même, qui se soucie de sa qualité ? La meilleure réponse à cela de ne pas avoir besoin d'un logiciel client spécialisé. Psiphon, par exemple, s'appuie sur un navigateur Web normal ; ainsi, si les censeurs bloquent son site Web, cela n'a aucune importance. Une autre méthode consiste à se servir d'un petit programme comme Ultrareach ou Freegate qui vous permet d'envoyer des mails à vos amis. La troisième option est le Pack de navigation Tor : il est proposé avec tous les logiciels préconfigurés dont vous avez besoin ; mais du fait qu'il comprend des programmes lourds tels Firefox, il est difficile à faire circuler sur Internet. Dans ce cas, la distribution se fait plutôt via les réseaux sociaux et par clé USB, ou en utilisant notre répondeur automatique de courrier électronique qui vous permet de télécharger Tor via Gmail.

Il vous faut ensuite étudier les avantages et inconvénients propres à chaque démarche. D'abord, quels systèmes d'exploitation sont-ils acceptés ? Là aussi, Psiphon est bien placé parce qu'il ne demande pas de logiciel client supplémentaire. Ultrareach et Freegate sont si spécialisés qu'ils ne fonctionnent qu'avec Windows, tandis que Tor et les logiciels qui l'accompagnent peuvent fonctionner pratiquement avec tous les systèmes d'exploitation. Ensuite, prenez en compte que le logiciel client peut automatiquement gérer une défaillance d'un proxy à un autre, et que vous n'avez pas besoin de saisir manuellement une nouvelle adresse si votre adresse du moment disparaît ou est bloquée.

Enfin, l'outil a-t-il de l'expérience pour réagir face à un blocage ? Par exemple, Ultrasurf et Freegate ont l'habitude de procéder à de rapides mises à jour quand la version en cours de leur outil cesse de fonctionner. Ils possèdent une grande expérience de ce jeu particulier du chat et de la souris ; on peut donc raisonnablement en déduire qu'ils sont prêts pour le prochain round. Dans le même ordre d'idée, Tor s'est préparé à un éventuel blocage en simplifiant ses communications en réseau pour qu'elles n'apparaissent plus comme une navigation sur Internet chiffrée, et en intégrant des « relais-ponts » non publiés qui sont plus difficiles à trouver et à bloquer pour un cyber-attaquant que les relais publics de Tor. Tor s'efforce de séparer les mises à jour des logiciels de celles de l'adresse du proxy. Si le relais-pont que vous utilisez se bloque, vous pouvez conserver le même logiciel et simplement le configurer pour utiliser une nouvelle adresse de pont. Notre système de ponts a été mis à l'épreuve en Chine en septembre 2009, et des milliers d'utilisateurs sont passés sans difficulté des relais publics aux ponts.

De nombreux outils de contournement font l'objet d'une forte médiatisation lors de leur lancement. Les médias aiment beaucoup cette démarche, et cela donne des articles à la une avec comme titre « Des hackers américains déclarent la guerre à la Chine ! » Mais même si cette attention portée sur eux contribue à leur attirer un soutien (bénévoles, profit, sponsors), la publicité attire également l'attention des censeurs.

Les censeurs bloquent généralement deux catégories d'outils : 1) ceux qui fonctionnent vraiment bien, c'est-à-dire qui ont des centaines de milliers d'utilisateurs, et 2) ceux qui font beaucoup de bruit. Bien souvent, la censure n'a pas tant comme but de bloquer tous les contenus sensibles que de créer une atmosphère de répression pour amener les gens à s'autocensurer. Des articles dans la presse menacent l'apparence de contrôle par les censeurs, et ceux-ci sont bien obligés de réagir.

La leçon à en tirer est que nous contrôlons le rythme de la course aux armements. Contrairement à la logique, même si un outil a plusieurs utilisateurs, tant que personne n'en parle beaucoup, il aura tendance à ne pas être bloqué. Mais si personne n'en parle, comment les utilisateurs en connaitront-ils l'existence. Une solution à ce paradoxe est de faire passer l'information de bouche à oreille et via les réseaux sociaux plutôt que par les médias plus classiques. Une autre démarche est de positionner l'outil dans un contexte différent ; par exemple, nous présentons Tor avant tout comme un outil conçu pour la protection de la vie privée et des libertés civiles plutôt que comme outil de contournement. Hélas, cet exercice d'équilibre est difficile à poursuivre face à une popularité grandissante.

Cet article explique quelques-uns des aspects que vous devez examiner quand vous évaluez les points forts et les points faibles des outils de contournement. J'ai délibérément évité de présenter un tableau des différents outils et de leur attribuer une note dans chaque catégorie. Quelqu'un le fera sûrement un jour et additionnera le nombre de cases cochées pour chaque outil, mais la question ici n'est pas de trouver le « meilleur » outil. Un éventail varié d'outils de contournement largement utilisé accroît la solidité de tous les outils, du fait que les censeurs doivent s'attaquer à toutes les stratégies à la fois.

Pour conclure, nous devons garder à l'esprit que la technologie ne résoudra pas tout le problème. Après tout, les pare-feu ont beaucoup de succès auprès du public dans ces pays. Tant que de nombreuses personnes dans les pays subissant la censure disent : « Je suis content, mon gouvernement protège ma sécurité sur Internet », les enjeux sociaux sont au moins aussi importants. Mais en même temps, il y a des gens dans tous ces pays qui désirent avoir des informations et les propager en ligne, et c'est pourquoi une solution technique efficace demeure une pièce essentielle du puzzle.

Roger Dingledine est chef de projet dans le cadre du Projet Tor, initiative américaine à but non lucratif qui mène une activité de recherche et développement en matière d'anonymat pour le compte d'organisations aussi diverses que l'US Navy, l'Electronic Frontier Foundation et la Voix de l'Amérique. En plus de toutes les casquettes qu'il porte pour Tor, Roger organise des congrès scientifiques sur l'anonymat et intervient dans une grande variété de conférences sectorielles et conférences de hackers. Il dirige également des stages sur le thème de l'anonymat pour les services répressifs étrangers et nationaux.

Cet article est protégé par une licence Creative Commons. Rédigé à l'origine pour le magazine Index on Censorship de mars 2010, puis adapté pour le « China Rights Forum » de juillet 2010 (traduction chinoise) [3]. Dernière mise à jour, le 25 mai 2010.